汽車(chē)中使用的大多數(shù)軟件組件都不是由汽車(chē)制造商自己甚至頂級(jí)供應(yīng)商直接開(kāi)發(fā)的。軟件來(lái)自廣泛的供應(yīng)商，包括嵌入式 GUI 框架、中間件、操作系統(tǒng)、導(dǎo)航和電信軟件組件等。

這些采購(gòu)的軟件組件可以是儀表板信息娛樂(lè)系統(tǒng)的一部分，也可以是嵌入式系統(tǒng)（如整個(gè)車(chē)輛中使用的傳感器）的一部分。這種日益增加的復(fù)雜性和互操作性導(dǎo)致了供應(yīng)商之間的軟件協(xié)作，從而形成了一個(gè)同行的合作伙伴關(guān)系網(wǎng)絡(luò)（例如，福特和谷歌，通用汽車(chē)和Lyft）。

由于汽車(chē)軟件組件是由許多不同的供應(yīng)商創(chuàng)建的，因此其中很大一部分包含開(kāi)源。就像現(xiàn)在的任何軟件一樣，開(kāi)源是生活中的事實(shí)。事實(shí)上，Android是汽車(chē)音響主機(jī)的流行平臺(tái)，它建立在Linux之上。其他例子是Genivi聯(lián)盟和汽車(chē)級(jí)Linux，這是專(zhuān)用于汽車(chē)應(yīng)用的開(kāi)源平臺(tái)。

據(jù)估計(jì)，2018年開(kāi)源在汽車(chē)軟件堆棧中的比例約為50-70%。2021年2月的另一份演講顯示，無(wú)論開(kāi)源是直接或間接用于其他專(zhuān)有的第三方組件，這一數(shù)字都約為66%。

不“重新發(fā)明輪子”的生產(chǎn)力優(yōu)勢(shì)是顯而易見(jiàn)的。自由和開(kāi)源軟件通常質(zhì)量很好，并且提供了顯著的好處，特別是當(dāng)用于整個(gè)子系統(tǒng)時(shí)。但是，安全性和質(zhì)量因軟件來(lái)源而異。在大多數(shù)情況下，您不確定重用的組件是否安全且高質(zhì)量，因此必須采取措施來(lái)減輕這種風(fēng)險(xiǎn)。

開(kāi)源組件的不安全版本是汽車(chē)軟件中常見(jiàn)的安全漏洞。在某些情況下，漏洞已被識(shí)別和修補(bǔ)，但車(chē)輛中使用的組件尚未更新。

缺乏開(kāi)源組件或包含漏洞的組件的更新也是汽車(chē)制造商面臨的挑戰(zhàn)。盡管在汽車(chē)中修補(bǔ)軟件可能很困難，但確保軟件供應(yīng)鏈效仿是一項(xiàng)復(fù)雜的任務(wù)。有時(shí)更新不會(huì)出現(xiàn)，因?yàn)樽髡呱踔量赡懿恢篱_(kāi)源。

開(kāi)源組件中隱藏的依賴(lài)關(guān)系是另一個(gè)關(guān)鍵的安全問(wèn)題。開(kāi)源依靠其他依賴(lài)項(xiàng)來(lái)運(yùn)行是很常見(jiàn)的。依賴(lài)關(guān)系會(huì)增加安全風(fēng)險(xiǎn)的范圍。其中一些依賴(lài)項(xiàng)沒(méi)有記錄，或者在專(zhuān)有軟件中使用，則完全隱藏。

最后，許可是汽車(chē)軟件的潛在雷區(qū)。開(kāi)源不一定可以在商業(yè)產(chǎn)品中免費(fèi)使用，或者如果是，在產(chǎn)品中重新分發(fā)可能具有您需要滿足的法律要求。包含第三方軟件的設(shè)備正在重新分發(fā)其中使用的任何源代碼或二進(jìn)制文件，這是開(kāi)源的獨(dú)特用例。如果不能正確管理所有第三方源和二進(jìn)制文件的許可證，則存在重大的法律風(fēng)險(xiǎn)。

管理開(kāi)源軟件的風(fēng)險(xiǎn)

正如物料清單 （BOM） 有助于管理汽車(chē)生產(chǎn)中的物理庫(kù)存一樣，管理采購(gòu)軟件的質(zhì)量和安全性需要從軟件 BOM（SBOM）開(kāi)始。

表面免疫機(jī)如何幫助管理風(fēng)險(xiǎn)？

實(shí)施軟件供應(yīng)鏈風(fēng)險(xiǎn)管理計(jì)劃并使用 SBOM 對(duì)于改善最終產(chǎn)品的安全狀況至關(guān)重要。對(duì)于汽車(chē)軟件開(kāi)發(fā)，這種做法有助于滿足行業(yè)安全性和合規(guī)性要求

SBOM 管理為制造商提供了以下好處：

發(fā)現(xiàn)：識(shí)別第三方代碼和 COTS/第三方軟件中的開(kāi)源組件。檢測(cè)這些組件中的已知（N 天）和未知（零日）漏洞。這包括隱藏在二級(jí)和三級(jí)軟件提供商的二進(jìn)制文件中的開(kāi)源組件。

管理風(fēng)險(xiǎn)：根據(jù)對(duì)代碼/軟件的可見(jiàn)性做出更明智的安全決策。遵守安全性、許可和供應(yīng)商風(fēng)險(xiǎn)合規(guī)性要求。

修復(fù)：利用可操作的漏洞情報(bào)防范網(wǎng)絡(luò)安全威脅。簡(jiǎn)化漏洞修復(fù)以降低軟件風(fēng)險(xiǎn)。

自動(dòng)化軟件供應(yīng)鏈安全的目標(biāo)是深入了解為支持項(xiàng)目目標(biāo)而購(gòu)買(mǎi)和部署的產(chǎn)品。需要SBOM和詳細(xì)的漏洞信息來(lái)真正了解車(chē)輛中使用的現(xiàn)有軟件的安全風(fēng)險(xiǎn)。

借助無(wú)需訪問(wèn)源代碼即可分析二進(jìn)制應(yīng)用程序的新技術(shù)，產(chǎn)品安全團(tuán)隊(duì)現(xiàn)在可以生成自己的詳細(xì)SBOM以及高級(jí)儀表板，以幫助分析和總結(jié)結(jié)果。此外，軟件漏洞報(bào)告對(duì)于編目 SBOM 中概述的軟件組件中的已知漏洞至關(guān)重要。

尋找能夠生成人類(lèi)和機(jī)器可讀輸出的 SBOM 工具，這些輸出可以導(dǎo)出并與其他組織共享，并與安全和風(fēng)險(xiǎn)解決方案集成。人類(lèi)可讀的格式應(yīng)該提供組件和報(bào)告漏洞的輕松導(dǎo)航。

汽車(chē)行業(yè)在車(chē)輛中使用的物理部件的質(zhì)量、可靠性和安全性方面始終需要保持高度警惕。隨著越來(lái)越多的軟件被集成到他們的成品中，制造商不再能夠“相信”其產(chǎn)品中的嵌入式代碼沒(méi)有安全漏洞和缺陷。軟件供應(yīng)鏈風(fēng)險(xiǎn)管理必須成為車(chē)輛質(zhì)量控制的關(guān)鍵支柱。

審核編輯：郭婷